Surveiller et gérer vos installations d'applications Java et Java
Avant de commencer
Cette architecture de référence suppose que vous avez bien intégré OCI.
JMS est un service natif OCI que vous pouvez déployer dans des domaines commerciaux et restreints. Il est accessible via l'API (Kit SDK OCI pour JMS) ou la console JMS.
Vous allez créer des parcs JMS dans un compartiment de votre location. Vous pouvez avoir plusieurs parcs et ressources JMS dans une ou plusieurs zones géographiques. Utilisez des parcs pour contrôler l'accès à la ressource associée et les affecter aux services de votre entreprise. Avec cette approche, chaque service de l'entreprise client peut contrôler sa propre flotte et ses propres ressources.
Pour terminer l'intégration JMS, procédez comme suit :
- Configurez Oracle Cloud Infrastructure pour JMS (gérez des stratégies manuellement ou utilisez un assistant).
- Crée un parc JMS.
- Déployez un agent ou configurez l'agent et activez le module d'extension JMS.
- Surveillez les installations et les applications Java dans votre instance gérée.
- Effectuez les opérations de fonctionnalité avancée, si nécessaire.
Pour plus d'informations, reportez-vous à Service Java Management dans la documentation OCI.
Architecture
L'agent JMS est installé sur les instances gérées pour collecter les métadonnées de télémétrie d'utilisation Java et d'utilisation Java. Les données de télémétrie sont émises et stockées dans votre location à des fins de protection de la vie privée.
Les métadonnées d'utilisation Java sont exfiltrées à partir de votre location par l'agent installé dans vos locations. JMS utilise ces métadonnées pour générer des informations telles que la version de Java, la référence de sécurité et les mises à jour Java à venir, ainsi que l'utilisation des applications. Ces informations sont présentées lors de la connexion à la console OCI. Il n'y a pas d'accès Oracle au-delà du traitement des métadonnées exfiltrées.
A l'aide des fonctionnalités avancées disponibles dans JMS, vous pouvez analyser l'utilisation des serveurs d'applications Java, identifier les vulnérabilités potentielles dans les bibliothèques Java utilisées par les applications exécutées dans votre environnement, utiliser l'enregistreur de vol Java pour l'analyse des performances et de la cryptographie et gérer les exécutions Oracle Java (versions JDK) dans votre environnement. Vous pouvez utiliser la fonctionnalité avancée pour gérer l'exécution de Java dans votre environnement.
Le schéma suivant illustre la topologie du service JMS en production. Le diagramme présente les agents déployés pour suivre l'exécution de Java sur OCI, vos ordinateurs de bureau sur site, vos ordinateurs portables et vos serveurs, ainsi que les services cloud tiers. Ces agents sont déployés dans vos instances gérées et sont associés aux ressources (fleets) créées dans vos locations.
Le schéma suivant illustre cette architecture de référence.
Description de l'image jms-oci-topology.png
De manière générale, les éléments suivants illustrent la façon dont les données circulent entre l'agent JMS installé sur l'instance gérée et le service JMS sur OCI :
- Vous installez l'agent sur l'instance gérée et l'agent s'inscrit auprès d'OCI.
- Vous configurez ou activez le module d'extension JMS (en transmettant le parc JMS en tant que paramètre). L'agent JMS est désormais associé au parc JMS souhaité.
- L'agent JMS inscrit interroge JMS pour le travail. JMS répondra à l'interrogation avec les demandes de travail appropriées, le cas échéant.
- L'agent JMS analyse régulièrement l'instance gérée à la recherche d'installations ou d'entrées Java dans le suivi d'utilisation et envoie les mesures Java et les métadonnées Java à OCI.
Le flux de données entre l'agent JMS et le service OCI est illustré ci-dessous.
Description de l'image jms-oci-workflow.png
- Utilisateur : installe l'agent sur l'agent JMS et une demande est envoyée à l'agent JMS (demande).
- Agent JMS : envoie une demande d'inscription aux services OCI (demande).
- Services OCI : valide la clé, renvoie les métadonnées et les jetons d'authentification, et envoie une réponse à l'agent JMS (réponse).
- Agent JMS : l'agent est démarré et envoie une réponse à l'utilisateur (réponse).
- Agent JMS : installe les modules d'extension demandés dans les services OCI (demande).
- Agent JMS : interroge les services OCI en tant que demande de travail (demande).
- Services OCI : envoie une demande de travail (réponse).
- Agent JMS : l'agent obtient le package et les installations de module d'extension (demande).
- Agent JMS : interroge régulièrement et envoie l'inventaire aux services OCI sur la location client (demande).
Le diagramme réseau ci-dessous décrit les flux de trafic entre l'agent JMS installé sur vos ordinateurs hôtes (sur site) et JMS exécuté dans OCI. Un modèle de trafic similaire se produit entre vos machines hôtes dans OCI et JMS.
description de l'illustration jms-oci-network-traffic.png,
jms-oci-network-traffic-oracle.zip
- L'agent JMS lance toujours la demande en s'authentifiant auprès d'OCI à l'aide d'un port ouvert autorisé par le pare-feu (443).
- L'agent de gestion et le service JMS d'OCI ne transmettent aucune donnée à l'agent.
- L'agent JMS recherche les demandes de travail dans le service.
- L'intervalle d'interrogation des demandes de travail d'agent JMS peut atteindre 30 secondes.
- L'intervalle d'interrogation d'agent JMS est configurable. L'intervalle d'interrogation maximal est de 10 minutes.
- Les données transmises sont cryptées à l'aide de TLS.
- Les services OCI renvoient ensuite les données en réponse à cette demande une fois la connexion établie.
L'architecture comprend les composants suivants :
- Région
Une région OCI est une zone géographique précise qui contient des centres de données, hébergeant des domaines de disponibilité. Les régions sont indépendantes les une des autres et peuvent les séparer d'un pays ou d'un continent à l'autre par de grandes distances.
- Domaines de disponibilité
Les domaines de disponibilité sont des centres de données autonomes indépendants au sein d'une région. Les ressources physiques de chaque domaine de disponibilité sont isolées de celles des autres, ce qui garantit la tolérance aux pannes. Les domaines de disponibilité ne partagent ni infrastructure (par exemple, alimentation, système de refroidissement), ni réseau de domaine de disponibilité interne. Par conséquent, une panne sur un domaine de disponibilité ne doit pas affecter les autres domaines de disponibilité de la région.
- Compartiment
Les compartiments sont des partitions logiques inter-régionales dans une location OCI. Utilisez des compartiments pour organiser, contrôler l'accès et définir des quotas d'utilisation pour vos ressources Oracle Cloud. Dans un compartiment donné, vous définissez des stratégies qui contrôlent l'accès et définissent des privilèges pour les ressources.
- Passerelle de routage dynamique
Le DRG est un routeur virtuel qui fournit un chemin pour le trafic de réseau privé entre les réseaux cloud virtuels d'une même région, entre un VCN et un réseau en dehors de la région, tel qu'un VCN dans une autre région OCI, un réseau sur site ou un réseau dans un autre fournisseur cloud.
- Pool d'instances
Un pool d'instances est un groupe d'instances d'une région créées à partir de la même configuration d'instance et gérées en tant que groupe.
- Réseau sur site
Ceci est un réseau local utilisé par votre organisation.
- Liste de sécurité
Pour chaque sous-réseau, vous pouvez créer des règles de sécurité qui indiquent la source, la destination et le type de trafic autorisés à l'entrée et à la sortie du sous-réseau.
- Zone de sécurité
Les zones de sécurité implémentent les meilleures pratiques de sécurité clés d'Oracle en appliquant des stratégies pour un compartiment entier, telles que le cryptage des données et la prévention de l'accès public aux réseaux. Une zone de sécurité est associée à un compartiment du même nom et inclut des stratégies de zone de sécurité (recette) qui s'appliquent au compartiment et à ses sous-compartiments. Vous ne pouvez pas ajouter ou déplacer un compartiment standard vers un compartiment de zones de sécurité.
- Passerelle de routage dynamique
Le DRG est un routeur virtuel qui fournit un chemin pour le trafic de réseau privé entre les réseaux cloud virtuels d'une même région, entre un VCN et un réseau en dehors de la région, tel qu'un VCN dans une autre région OCI, un réseau sur site ou un réseau dans un autre fournisseur cloud.
- Passerelle de service
Une passerelle de service fournit un accès à partir d'un VCN à d'autres services, tels qu'Oracle Cloud Infrastructure Object Storage. Le trafic entre le VCN et le service Oracle passe par la structure réseau Oracle et ne traverse pas Internet.
- Tenancy
Une location est une partition sécurisée et isolée qu'Oracle configure dans Oracle Cloud lorsque vous souscrivez à OCI. Vous pouvez créer, organiser et administrer vos ressources sur OCI dans votre location. Une location est synonyme d'entreprise ou d'organisation. Habituellement, une entreprise aura une seule location et reflétera sa structure organisationnelle au sein de cette location. Une location unique est généralement associée à un seul abonnement, et un seul abonnement n'a généralement qu'une seule location.
- Journalisation OCIOracle Cloud Infrastructure Logging est un service hautement évolutif et entièrement géré qui permet d'accéder aux types de journaux suivants à partir de vos ressources dans le cloud :
- Journaux d'audit : journaux liés aux événements produits par OCI Audit.
- Journaux de service : journaux publiés par des services individuels tels que OCI API Gateway, OCI Events, OCI Functions, OCI Load Balancing, OCI Object Storage et les journaux de flux VCN.
- Journaux personnalisés : journaux contenant des informations de diagnostic issues d'applications personnalisées, d'autres fournisseurs cloud ou d'un environnement sur Site.
- Surveillance OCI
Oracle Cloud Infrastructure Monitoring surveille activement et passivement vos ressources cloud et utilise des alarmes pour vous avertir lorsque les mesures répondent aux déclencheurs spécifiés.
- Règle
Une stratégie Oracle Cloud Infrastructure Identity and Access Management indique qui peut accéder à quelles ressources et comment. L'accès est accordé au niveau du groupe et des compartiments, ce qui signifie qu'il est possible d'écrire une stratégie qui offre un type d'accès spécifique au sein d'un compartiment spécifique ou à la location.
- OCI Vault
Oracle Cloud Infrastructure Vault vous permet de créer et de gérer de manière centralisée les clés de cryptage qui protègent vos données et les informations d'identification de clé secrète que vous utilisez pour sécuriser l'accès à vos ressources dans le cloud. La gestion des clés par défaut est celle des clés gérées par Oracle. Vous pouvez également utiliser des clés gérées par le client qui utilisent OCI Vault. OCI Vault offre un riche ensemble d'API REST permettant de gérer les coffres et les clés.
- Workflow OCI
Oracle Cloud Infrastructure Workflow est un moteur de workflow sans serveur doté d'un concepteur de flux graphique pour les développeurs et les architectes. Il accélère la création, l'exécution et l'orchestration de services OCI tels que OCI Functions ou l'IA/ML.
- Réseau cloud virtuel (VCN) et sous-réseaux
Un réseau cloud virtuel est un réseau personnalisable défini par logiciel que vous configurez dans une région OCI. Comme les Réseaux de centre de données traditionnels, les Réseaux cloud virtuels vous donnent un contrôle sur l'environnement réseau. Un VCN peut comporter plusieurs blocs de routage interdomaine sans classe (CIDR) qui ne se chevauchent pas et que vous pouvez modifier une fois le VCN créé. Vous pouvez segmenter un réseau cloud virtuel en plusieurs sous-réseaux ciblant une région ou un domaine de disponibilité. Chaque sous-réseau est composé d'une plage contiguë d'adresses qui ne chevauchent pas celles des autres sous-réseaux du réseau cloud virtuel. Vous pouvez modifier la taille d'un sous-réseau après sa création. Un sous-réseau peut être public ou privé.
- Passerelle d'API OCI
Oracle Cloud Infrastructure API Gateway vous permet de publier des API avec des adresses privées accessibles à partir de votre réseau. Vous pouvez les rendre visibles sur le réseau Internet public si nécessaire. Les adresses prennent en charge la validation d'API, la transformation des demandes et des réponses, CORS, l'authentification et l'autorisation, ainsi que la limitation des demandes.
- Oracle Autonomous Database
Oracle Autonomous Database est un environnement de base de données entièrement géré et préconfiguré que vous pouvez utiliser pour le traitement des transactions et les workloads d'entreposage de données. Vous n'avez pas besoin de configurer ni de gérer un matériel, ni d'installer un logiciel. OCI gère la création, la sauvegarde, l'application de patches, la mise à niveau et le réglage de la base de données.
- Bastion
L'hôte de bastion est une instance de calcul qui sert de point d'entrée sécurisé et contrôlé de la topologie en dehors du cloud. L'hôte de bastion est généralement provisionné dans une zone démilitarisée (DMZ). Il vous permet de protéger les ressources sensibles en les plaçant dans des réseaux privés auxquels vous ne pouvez pas accéder directement depuis l'extérieur du cloud. La topologie dispose d'un point d'entrée unique connu que vous pouvez surveiller et auditer régulièrement. Vous pouvez donc éviter d'exposer les composants les plus sensibles de la topologie sans compromettre l'accès à ces composants.
- Calcul OCI
Avec Oracle Cloud Infrastructure Compute, vous pouvez provisionner et gérer des hôtes de calcul dans le cloud. Vous pouvez lancer des instances de calcul avec des formes qui répondent à vos besoins en ressources pour l'UC, la mémoire, la bande passante réseau et le stockage. Après avoir créé une instance de calcul, vous pouvez y accéder en toute sécurité, la redémarrer, attacher et détacher des volumes, et y mettre fin lorsque vous n'en avez plus besoin.
- DNS OCI
Le service DNS (Domain Name System) Oracle Cloud Infrastructure est un réseau DNS (Domain Name System) anycast mondial hautement évolutif qui offre des performances, une résilience et une évolutivité DNS améliorées afin que les utilisateurs finaux se connectent rapidement aux applications Internet, où qu'ils se trouvent.
- Flux Kafka
Kafka Streams est une bibliothèque client permettant de créer des applications et des microservices, dans laquelle les données d'entrée et de sortie sont stockées dans des clusters Kafka. Il combine la simplicité d'écriture et de déploiement d'applications Java et Scala standard côté client avec les avantages de la technologie de cluster côté serveur de Kafka.
- OCI Object Storage
OCI Object Storage fournit un accès à des quantités importantes de informations structurées et non, de tout type de contenu, y compris les sauvegardes de base de donnée, les données analytiques et le contenu enrichi tel que des images et des vidéos. Vous pouvez stocker des données en toute sécurité directement à partir des applications ou de la plate-forme cloud. Vous pouvez redimensionner le stockage sans dégradation des performances ni de la fiabilité de services.
Utilisez le stockage standard pour le stockage "à chaud" auquel vous devez accéder rapidement, immédiatement et fréquemment. Utilisez le stockage d'archive pour le stockage "à froid" que vous conservez durant de longues périodes et auquel il est rare d'y accéder.
- Oracle Management Agent
Oracle Management Agent est un service qui permet une communication interactive à faible latence et la collecte de données entre Oracle Cloud Infrastructure et des instances gérées sur site. Les agents de gestion collectent des données à partir de sources que vous souhaitez surveiller. Management Agent Service, un service Oracle Cloud, gère le cycle de vie de l'agent de gestion ainsi que les modules d'extension pour les services.
- Agent Oracle Cloud
L'agent Oracle Cloud est un processus léger qui gère le cycle de vie des modules d'extension exécutés sur les instances de calcul sur OCI. Les modules d'extension JMS collectent des métadonnées Java à partir de votre environnement déployé sur l'instance gérée dans OCI. Le module d'extension JMS exfiltre ces métadonnées Java vers le service JMS dans OCI.
- Kiev en tant que service (KaaS)
KaaS est un service de plate-forme de données entièrement géré utilisé principalement par les services de plan de contrôle sur OCI. KaaS fournit des API NoSQL de haut niveau pour une intégration facile, des analyses sérialisables, des flux de modifications en continu et d'autres fonctionnalités. KaaS est un service construit sur Kiev. Kiev est un "magasin clé-valeur NoSQL" qui prend également en charge les mini-transactions pour plus de commodité. Pour éviter les bugs de simultanéité dans les applications, les mini-transactions de Kiev disposent d'un isolement fort qui offre des garanties plus fortes que les niveaux d'isolement plus faibles qui sont couramment utilisés dans Oracle et MySQL. Kiev dispose d'un contrat de niveau de service de disponibilité de 99,9 %.
Recommandations
- VCN
Lorsque vous créez un VCN, déterminez le nombre de blocs CIDR requis et la taille de chaque bloc en fonction du nombre de ressources que vous prévoyez d'attacher à des sous-réseaux dans le VCN. Utilisez des blocs CIDR qui se trouvent dans l'espace d'adresse IP privée standard.
Sélectionnez les blocs CIDR qui ne chevauchent aucun autre réseau (dans Oracle Cloud Infrastructure, votre centre de données sur site ou un autre fournisseur cloud) auquel vous avez l'intention de configurer des connexions privées.
Après avoir créé un VCN, vous pouvez modifier, ajouter et supprimer ses blocs CIDR.
Lorsque vous concevez les sous-réseaux, tenez compte du flux de trafic et des exigences de sécurité. Attachez toutes les ressources d'un niveau ou d'un rôle spécifique au même sous-réseau, qui peut servir de limite de sécurité.
Utiliser des sous-réseaux régionaux.
- Sécurité
Utilisez Oracle Cloud Guard pour surveiller et gérer la sécurité de vos ressources dans Oracle Cloud Infrastructure de manière proactive. Utilisez des zones de sécurité pour une sécurité maximale.
- Cloud Guard
Clonez et personnalisez les recettes par défaut fournies par Oracle pour créer des recettes personnalisées de détecteur et de répondeur. Ces recettes vous permettent d'indiquer le type de violation de sécurité qui génère un avertissement et les actions autorisées à y être effectuées. Par exemple, vous pouvez détecter les buckets OCI Object Storage dont la visibilité est définie sur Public.
Appliquez Oracle Cloud Guard au niveau de la location pour couvrir la portée la plus large et réduire la charge administrative liée à la maintenance de plusieurs configurations.
Vous pouvez également utiliser la fonction Liste gérée pour appliquer certaines configurations aux détecteurs.
- Security Zones
Pour les ressources nécessitant une sécurité maximale, Oracle recommande d'utiliser des zones de sécurité. Une zone de sécurité est un compartiment associé à une recette de stratégies de sécurité définie par Oracle basée sur les meilleures pratiques. Par exemple, les ressources d'une zone d'accès ne doivent pas être accessibles à partir du réseau Internet public et doivent être cryptées à l'aide de clés gérées par l'utilisateur. Lorsque vous créez et mettez à jour des ressources dans une zone de sécurité, OCI valide les opérations par rapport aux stratégies de la recette et empêche les opérations qui violent l'une des stratégies.
- Groupes de sécurité réseau
Vous pouvez utiliser des groupes de sécurité réseau pour définir un ensemble de règles entrantes et sortantes qui s'appliquent à des cartes d'interface réseau virtuelles spécifiques. Nous vous recommandons d'utiliser des groupes de sécurité réseau plutôt que des listes de sécurité, car ces derniers vous permettent de séparer l'architecture de sous-réseau du VCN des exigences de sécurité de votre application.
- Bande passante d'équilibreur de charge
Lors de la création d'un équilibreur de charge, vous pouvez soit sélectionner une forme prédéfinie qui fournit une bande passante fixe, soit indiquer une forme personnalisée (flexible) dans laquelle vous définissez une plage de bande passante et laisser le service redimensionner automatiquement la bande passante en fonction des modèles de trafic. Dans les deux cas, vous pouvez modifier la forme de bande passante à tout moment après avoir créé l'équilibreur de charge.
Points à prendre en compte
Tenez compte des points suivants lors du déploiement de cette architecture de référence.
- PerformancesTenez compte des éléments suivants lors de l'implémentation de l'architecture de référence pour détecter et gérer les installations Java et les applications java dans les instances gérées sur site.
- JMS utilise l'agent pour exfiltrer les métadonnées Java (le trafic réseau et une configuration soigneuse du pare-feu sont pris en compte).
- L'agent requiert la dernière version de JRE 8 pour s'exécuter sur l'instance gérée.
- L'agent requiert 512 Mo de portion de mémoire libre sur l'instance gérée.
- L'agent sera en concurrence avec l'application pour l'UC sur l'instance gérée.
Les métadonnées exfiltrées sont disponibles sur l'objet de journal. JMS traite les métadonnées pour générer des informations clés. Ces informations et mesures sont stockées dans la base de données Oracle Autonomous Transaction Processing appartenant au service. Vous pouvez utiliser l'API pour interroger le service afin d'obtenir des informations historiques sur Java déployé dans votre environnement. JMS n'est pas un système en temps réel. La latence peut fournir des informations actuelles et historiques en raison du chargement du service par de nombreuses autres requêtes client.
- Sécurité
Utilisez des stratégies pour restreindre l'accès aux ressources Oracle Cloud Infrastructure (OCI) de votre entreprise et la façon dont elles peuvent y accéder. Métadonnées Java exfiltrées à partir de votre environnement dans un objet de journal appartenant à votre entreprise. JMS traite ces métadonnées et les informations clés qui vous sont présentées. Les informations sont stockées dans la base de données Oracle Autonomous Transaction Processing. Les rapports générés sont stockés dans votre instance OCI Object Storage.
Le cryptage est activé par défaut pour OCI Object Storage et ne peut pas être désactivé.
- Disponibilité
JMS a été désigné comme service de catégorie 10 avec l'objectif de niveau de service publié 3'9s (99.9).
- Coût
JMS est un service gratuit. Les fonctionnalités de base de la surveillance et de l'interrogation d'informations sur Java dans votre environnement sont accessibles à tous. Les fonctionnalités avancées qui impliquent la gestion de Java dans votre environnement ne sont disponibles que pour les abonnés Java SE exécutant des instances gérées sur site. La version complète de JMS est également disponible lorsque vous exécutez l'intégralité de votre charge globale sur OCI.
Si vous disposez d'instances gérées sur site et que vous utilisez un minimum de charges globales Java, vous pouvez trouver acceptable de travailler JMS dans les limites du niveau gratuit OCI (en évitant le coût mensuel minimal de calcul, de stockage et de sortie réseau).
En savoir plus
Accédez à Configuration de Java Management Service pour surveiller l'utilisation de Java sur un hôte Oracle Linux afin de configurer et d'activer la surveillance de l'utilisation de Java sur vos machines Oracle Linux.
- Estimateur de coût Oracle Cloud
- Kit SDK (Oracle Cloud Infrastructure Software Development Kit) pour JMS (GitHub)
- Structure d'adoption du cloud Oracle Cloud Infrastructure
- Autonomous Database
- Oracle Cloud Infrastructure Identity and Access Management
- Java Management Service
- Agent Oracle Cloud
- Management Agent
- Objectifs de niveau de service pour les services Oracle PaaS et IaaS Public Cloud
- Compte Niveau gratuit Oracle Cloud
Modifier le journal
Ce journal répertorie les modifications importantes :
| Septembre 26, 2025 |
|
| 6 mars 2025 | Diagramme de topologie révisé. |